Che cos'è il ransomware Rhysida?

Rhysida è un gruppo di ransomware as a service comparso a maggio 2023. CISA, FBI e MS-ISAC lo hanno descritto nell'avviso congiunto AA23-319A del 15 novembre 2023, osservando che attaccava in modo opportunistico istruzione, sanità, manifattura, IT e pubblica amministrazione, con la doppia estorsione. Secondo l'avviso, gli autori entravano soprattutto tramite servizi remoti esterni come le VPN, spesso con credenziali rubate dove l'autenticazione a più fattori non era imposta, tramite phishing e in alcuni casi sfruttando la vulnerabilità Zerologon nei domain controller. Una volta dentro, usavano strumenti di amministrazione integrati e desktop remoto per muoversi, lo schema living off the land visto in molti gruppi. Per una piccola azienda il messaggio dell'avviso è noto ma importante: richiedere la MFA su ogni via di accesso remoto, aggiornare i domain controller, limitare il desktop remoto e segmentare la rete perché un singolo punto d'appoggio non esponga tutto.

← Tutte le 25 domande su Gruppi e famiglie di ransomwareTutti i temi